Microsoft Secure Score 多少分算好，如何提分

簡短回答： 微軟沒有公布 Secure Score 的及格線，所以「好」的標準是：比你自己之前高、不低於比較圖中規模相近的機構、高分項目要麼做了要麼有意識地接受風險。從「建議動作」清單頂部往下做：先身份識別（MFA、管理員 MFA、舊式驗證），再電郵防護，再其餘。把分數當作待辦清單，不要當作「安不安全」的結論。

本文寫給打開了 Secure Score、看到一個百分比和一長串建議、不知道先修什麼的 Microsoft 365 管理員。你會得到按風險和工作量排序的建議修復次序、每項的選單路徑，以及分數容易誤導人的地方。已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。Secure Score 與 CIS、CISA 基準如何比較，請參閱《Secure Score、CIS Benchmark 與 ScubaGear 比較》，本文只講如何提分。

這個分數是什麼

Secure Score 在 Microsoft Defender 門戶：security.microsoft.com/securescore。分數以百分比顯示，並列出已得分數和可得總分。每項建議動作最高 10 分，多數是「做了就拿滿分」，少數按涵蓋比例給部分分。微軟自己的例子：MFA 滿分 10 分，100 個用戶中只有 50 個受保護，就得 5 分。

完成修改後，分數可能要 24 至 48 小時才更新。建議動作分為身份識別（Identity）、設備（Device）、應用程式（Apps）、數據（Data）四組。

多少分算好

微軟的 Learn 頁面沒有給出目標數字。可以用這三個參考：

比較圖。 Overview 分頁有一張與規模相近機構比較的長條圖；Metrics & trends > Comparison trend 顯示隨時間的比較。微軟對數據做了匿名處理。
自訂分數區間。 Metrics & trends > Your Secure Score zone 可讓你自行定義什麼算好、普通、差。
可達成分數。 在分數卡片上選取 Include，可加入 Planned score、Current license score 和 Achievable score。你的分數與可達成分數之間的差距，就是在現有授權和已接受風險下的實際空間。

先修哪些

微軟按剩餘分數、實施難度、用戶影響和複雜度為建議動作排名。請在你自己的「建議動作」分頁按這個排名重新排序，因為微軟是根據你的授權和目前設定計算的。下面的次序是作者對典型中小型租戶風險和工作量的判斷，不是經過核實的分數排名：微軟只為前三項記載了分數，而且是在開啟安全預設值的前提下。

1. 管理員角色要求 MFA

為什麼先做： 價值最高的帳戶，而且人數少。
位置： Microsoft Entra 管理中心 > Entra ID > Conditional Access > Policies > New policy（選 Directory roles），或開啟安全預設值。先以僅報告（Report-only）模式建立，再切換為 On。CA002、CA003 和 CA001 的步驟見條件式存取基礎策略。
工作量： 低。先讓管理員完成註冊，並把兩個緊急存取帳戶排除在策略之外。
分數： 微軟說明，開啟安全預設值後，這一項得 10 分。透過條件式存取達成時，分數按微軟自己的動作定義計算，你租戶上的數字可能不同。

2. 全體用戶要求 MFA

位置： Entra ID > Conditional Access > Policies，對象選 All users，授予控制項選 Require authentication strength。完整步驟見如何在 Microsoft 365 開啟 MFA。先以僅報告模式建立，再切換為 On。
工作量： 中。難點是用戶註冊，而不是設定。
分數： 微軟說明，開啟安全預設值後得 9 分。隨著用戶陸續註冊，會先拿到部分分數。

3. 封鎖舊式驗證

位置： Entra ID > Conditional Access > Policies > New policy。Conditions > Client apps 只勾選 Exchange ActiveSync clients 和 Other clients；Grant 選 Block access。先到 Entra ID > Monitoring & health > Sign-in logs，用 Client App 篩選找出仍在使用的人。先以僅報告模式建立，再切換為 On，因為封鎖舊式驗證可能令舊郵件程式和掃描器失效。
工作量： 低至中，視乎舊掃描器和舊郵件程式有多少。
分數： 微軟說明，開啟安全預設值後得 7 分。

4. 開啟 Standard 預設安全性策略

位置： Microsoft Defender 門戶 > Email & collaboration > Policies & rules > Threat policies > Preset Security Policies（security.microsoft.com/presetSecurityPolicies）。開啟 Standard protection 並指定收件者。
工作量： 低。微軟說明預設策略中幾乎所有設定都不可自行調整，這正是它的用意。先用試行組測試，並留意垃圾郵件處理的差別：Standard 放入垃圾郵件文件夾，Strict 則隔離。
授權提示： Safe Links 和 Safe Attachments 需要 Defender for Office 365；沒有它時，預設策略只涵蓋內建防護。
分數： 不固定，請看你自己租戶「建議動作」分頁裡的數值。

5. 減少全域管理員

位置： Entra ID > Roles & admins > All roles > Global Administrator。
工作量： 低。微軟建議全域管理員少於五人，另加兩個僅雲端的緊急存取帳戶，日常工作用權限較窄的角色。
分數： 不固定，請看你自己租戶「建議動作」分頁裡的數值。

6. 確認審核記錄已開啟

位置： 先用 Connect-ExchangeOnline 連線，再在 Exchange Online PowerShell 執行 Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled。如果是 False，執行 Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true，或在 Microsoft Purview 門戶 > Audit 按 Start recording user and admin activity。必須在 Exchange Online PowerShell 內執行，因為在 Security & Compliance PowerShell 內這個屬性始終顯示 False。還需要 Exchange Online 的 Audit Logs 角色。
工作量： 低，約 60 分鐘內生效。微軟說明 Business Basic、Business Standard、Business Premium 預設沒有開啟審核，所以要檢查。
分數： 不固定，請看你自己租戶「建議動作」分頁裡的數值。

7. 其餘按排名往下做

在「建議動作」分頁按 Rank 排序、按產品篩選，先做用戶影響小的。凡是會改變登入方式或文件共用方式的，都要先用試行組並通知員工。

如實使用狀態

每項動作可設為 To address、Planned、Risk accepted、Resolved through third party、Resolved through alternate mitigation 或 Completed。Risk accepted 不得分；兩種 Resolved 會得分，但微軟無從得知控制措施是否真的到位。只有確實由其他產品涵蓋時才使用，並在備註寫明是哪一個。

Secure Score 不能告訴你什麼

它不是被入侵可能性的量度。 微軟說明，它反映的是你採用了多少建議的控制措施，不是防止入侵的保證。
只涵蓋列出的產品。 建議涉及微軟產品和少數其他產品；其他保安工具除非你手動標記為已涵蓋，否則不計分。
不是每項都適合你。 微軟提醒，保安要與易用性取得平衡。
把動作標為第三方已涵蓋會令分數上升，但實際什麼都沒變。 百分比相同的兩個租戶可能差別很大。
設備類建議的處理方式不同。 Device 類別不能直接設定狀態，會引導你到 Defender Vulnerability Management 的建議處理。

常見錯誤

追百分比。 按風險和工作量來修，而不是按點一下能得幾多分。
沒有證據就標 Resolved through third party。 這會抬高分數、掩蓋缺口。
不做試行就強制啟用。 像封鎖舊式驗證這類高分項目，會令掃描器和舊郵件程式失效。
期望即時變化。 分數要 24 至 48 小時才顯示，不要因為分數沒動就重做一遍。
不再覆查。 之後的改動或新增用戶可能令分數下降，Metrics & trends 會顯示倒退。
沒有負責人。 在 Notes 為每項寫明負責人和日期。

如何確認生效

打開 security.microsoft.com/securescore，開始前記下分數和點數。
一次只改一項，並寫進該動作的 Notes。
等 24 至 48 小時，打開 History 分頁，確認得分記在對應動作下。
每月查看一次 Metrics & trends > Regression trend，確認有沒有失分。
每季重新查看一次比較圖並記錄結果。

FAQ

Microsoft Secure Score 多少分算好？

微軟沒有設定一個數字。請與比較圖中規模相近的機構比較，自訂好、普通、差的區間，並與你的 Achievable score 比較。

Microsoft 安全分數是什麼？

它是一個百分比，顯示你在身份識別、設備、應用程式和數據方面採取了多少微軟建議的安全動作。越高表示落實的建議動作越多。

在哪裡登入 Microsoft Secure Score？

前往 security.microsoft.com/securescore 並登入。需要相應角色：Security Reader 等可唯讀，Security Administrator、Exchange Administrator 或 SharePoint Administrator 可讀寫。也可以透過 Microsoft Defender 統一角色型存取控制（Unified RBAC）授權。

怎樣與行業平均水平比較？

用 Overview 分頁的比較長條圖，或 Metrics & trends > Comparison trend。微軟與座位數相近的機構比較，數據是匿名的。

Microsoft Secure Score 儀表板顯示什麼？

Secure Score 頁面以百分比顯示分數，並列出已得分數和可得總分。你可以在這裡加入 Planned、Current license 和 Achievable score 檢視，打開「建議動作」，查看 History 和 Metrics & trends 分頁。修改後需要 24 至 48 小時才會顯示。